Je suis d'accord avec toi : ce n'est pas parce que PHP permet certains trucs dégueulasses que ça ne permet pas aussi de bien coder...
Mais force est de reconnaitre que pour certains choix, on se demande franchement qui a eu cette idée !
Exemple connu de tous les développeurs PHP : le register_globals[1]...
Certes, cela rend le code plus rapide à écrire, mais au détriment évident de la sécurité du site.
Et malheureusement, si on permet certaines libertés d'écriture du code, il ne faut pas s'étonner que certains (mauvais) développeurs en tirent parti. "Si PHP le permet, c'est bien pour que je m'en serve, non ?"
1 Pour ceux qui ne connaissent pas, sachez qu'il s'agit d'un paramétrage qui permet, ou non, d'accéder à une variable quelque soit son emplacement. Donc "$var" pourra tout aussi bien désigner une variable créée dans le code, qu'une variable passée en paramètre d'URL ! Je vous laisse imaginer la faille de sécurité...
Ce paramètre était par défaut à "on" jusqu'à PHP 4 inclus. Ce n'est que sous PHP5 que le paramétrage est passé à "off" (avec tout de même la possibilité de le remettre à "on" en cas d'incompatibilité avec les anciens scripts mal codés).
[^] # Re: php
Posté par windu.2b . En réponse à la dépêche Sloth, un nouveau framework MVC pour PHP. Évalué à 5.
Mais force est de reconnaitre que pour certains choix, on se demande franchement qui a eu cette idée !
Exemple connu de tous les développeurs PHP : le register_globals[1]...
Certes, cela rend le code plus rapide à écrire, mais au détriment évident de la sécurité du site.
Et malheureusement, si on permet certaines libertés d'écriture du code, il ne faut pas s'étonner que certains (mauvais) développeurs en tirent parti. "Si PHP le permet, c'est bien pour que je m'en serve, non ?"
1 Pour ceux qui ne connaissent pas, sachez qu'il s'agit d'un paramétrage qui permet, ou non, d'accéder à une variable quelque soit son emplacement. Donc "$var" pourra tout aussi bien désigner une variable créée dans le code, qu'une variable passée en paramètre d'URL ! Je vous laisse imaginer la faille de sécurité...
Ce paramètre était par défaut à "on" jusqu'à PHP 4 inclus. Ce n'est que sous PHP5 que le paramétrage est passé à "off" (avec tout de même la possibilité de le remettre à "on" en cas d'incompatibilité avec les anciens scripts mal codés).